Objekt-Tagging¶

Tag-Kontingente für Objekte und Spalten¶

Der Zeichenfolgenwert für jedes Tag kann bis zu 256 Zeichen lang sein mit der Option, zulässige Werte für ein Tag anzugeben.

Die folgende Beschreibung gilt für alle Objekte, die keine Tabellen und Ansichten sind:

Snowflake erlaubt eine maximale Anzahl von 50 eindeutigen Tags, die für ein einzelnes Objekt gesetzt werden können. In einer einzelnen CREATE <Objekt>- oder ALTER <Objekt>-Anweisung können maximal 100 Tags angegeben werden.

Die maximale Anzahl eindeutiger Tags ist für Tabellen und Ansichten, einschließlich der Spalten in diesen Tabellen und Ansichten, leicht unterschiedlich.

Tag-Herkunft¶

Ein Tag wird basierend auf der Hierarchie der sicherbaren Snowflake-Objekte vererbt. Snowflake empfiehlt, dass sich die Definition der Tag-Schlüssel so nah wie möglich an der Hierarchie der sicherbaren Objekte in Ihrer Snowflake-Umgebung orientieren sollte.

Tag-Vererbung bedeutet, dass ein Tag, das auf eine Tabelle angewendet wird, auch für die Spalten in dieser Tabelle gilt. Dieses Verhalten wird als „Tag-Herkunft“ bezeichnet.

Es ist möglich, das geerbte Tag eines bestimmten Objekts zu überschreiben. Wenn beispielsweise eine Tabellenspalte das Tag „cost_center“ erbt, kann das Tag durch ein Tag mit einem spezifischeren Zeichenfolgenwert wie „sales_na“ ersetzt werden, mit dem die Vertriebskostenstelle „Nordamerika“ angegeben wird. Zusätzlich kann ein neues Tag auf die Tabellenspalte angewendet werden. Verwenden Sie eine ALTER TABLE … ALTER COLUMN-Anweisung, um den Tag-Zeichenfolgenwert der Spalte zu aktualisieren und um ein oder mehrere zusätzliche Tags für eine Spalte festzulegen.

Nachdem Sie die Tag-Schlüssel definiert und die Tags den Snowflake-Objekten zugewiesen haben, können Sie die Tags, die Tag-Referenzen und die Tag-Herkunft mithilfe der angegebenen Tabellenfunktionen oder durch Abfragen der Ansichten verfolgen, wie in Verwenden von Tags (unter diesem Thema) gezeigt.

Vorteile von Tags¶

Benutzerfreundlichkeit

Ein Tag wird einmal definiert und kann dann auf beliebig viele verschiedene Objekte angewendet werden.

Tag-Herkunft

Da Tags vererbt werden, führt die Anwendung des Tags auf Objekte, die in der Hierarchie der sicherbaren Objekte höher stehen, dazu, dass das Tag auf alle untergeordneten Objekte angewendet wird. Wird beispielsweise ein Tag für eine Tabelle festgelegt, so wird das Tag an alle Spalten in dieser Tabelle vererbt.

Konsistente Zuweisung mit Replikation

Snowflake repliziert die Tags und deren Zuweisungen innerhalb der Primärdatenbank auch in die Sekundärdatenbank.

Weitere Informationen dazu finden Sie unter Replikation (unter diesem Thema).

Verfolgen von sensiblen Daten und der Ressourcennutzung

Tags vereinfachen das Identifizieren von sensiblen Daten (z. B. PII, Geheimnis) und machen die Nutzung von Snowflake-Ressourcen transparent. Da sich Daten und Metadaten im gleichen System befinden, können Analysten anhand der Tag-Definition (z B. cost_center, department) schnell feststellen, welche Ressourcen die meisten Snowflake-Credits verbrauchen.

Zentrale oder dezentrale Verwaltung

Tags unterstützen verschiedene Verwaltungsansätze, um die Konformität mit internen und externen Vorschriften zu vereinfachen.

Bei einem zentralen Ansatz werden Tags von der kundenspezifischen Rolle tag_admin erstellt und auf Snowflake-Objekte angewendet.

Bei einem dezentralen Ansatz werden die Tags zwar von der kundenspezifischen Rolle tag_admin definiert, um eine einheitliche Benennung sicherzustellen, aber die Anwendung der Tags auf die Snowflake-Objekte erfolgt durch einzelne Teams.

Hinweise¶

Zukünftige Berechtigungszuweisungen

Zukünftige Berechtigungszuweisungen zu Tags werden nicht unterstützt.

Als Problemumgehung können Sie einer kundenspezifischen Rolle die Berechtigung APPLYTAG erteilen, damit diese Rolle Tags auf andere Objekte anwenden kann.

Unterstützte Objekte¶

In der folgenden Tabelle sind die unterstützten Objekte für Tags, einschließlich Spalten, basierend auf der Hierarchie der sicherbaren Snowflake-Objekte aufgeführt.

Ein Tag kann mit einer CREATE <Objekt>-Anweisung oder einer ALTER <Objekt>-Anweisung auf ein Objekt festgelegt werden, sofern in der nachstehenden Tabelle nichts anderes angegeben ist.

Ein Tag kann für eine Spalte entweder mit einer CREATE TABLE-, CREATE VIEW-, ALTER TABLE … MODIFY COLUMN- oder ALTER VIEW-Anweisung gesetzt werden.

Festlegen von Tag-Werten¶

Mit der Tag-Eigenschaft ALLOWED_VALUES können die möglichen Zeichenfolgenwerte angegeben werden, die dem Tag zugewiesen werden können, wenn das Tag auf ein Objekt gesetzt wird. Die maximale Anzahl möglicher Zeichenfolgenwert für ein einzelnes Tag ist 50.

Sie können diese Werte beim Erstellen oder Ersetzen eines Tags mit einer CREATE TAG-Anweisung oder beim Ändern eines vorhandenen Tag-Schlüssels mit einer ALTER TAG-Anweisung angeben. Beachten Sie, dass die Anweisung ALTER TAG das Hinzufügen zulässiger Werte für ein Tag und das Löschen vorhandener Werte für ein Tag unterstützt.

Um die Liste der zulässigen Werte für ein Tag zu ermitteln, rufen Sie die Funktion GET_DDL auf.

Beispiel:

Erstellen Sie ein Tag mit dem Namen cost_center mit 'finance' und 'engineering' als den beiden einzigen zulässigen Zeichenfolgenwerten:

create tag cost_center
    allowed_values 'finance', 'engineering';

Prüfen Sie die zulässigen Werte:

select get_ddl('tag', 'cost_center')

+------------------------------------------------------------------------------+
| GET_DDL('tag', 'cost_center')                                                |
|------------------------------------------------------------------------------|
| create or replace tag cost_center allowed_values = 'finance', 'engineering'; |
+------------------------------------------------------------------------------+

Ändern Sie das Tag mit dem Namen cost_center, um 'marketing' als zulässigen Zeichenfolgenwert hinzuzufügen:

alter tag cost_center
    add allowed_values 'marketing';

Ändern Sie das Tag mit dem Namen cost_center, um 'engineering' als zulässigen Zeichenfolgenwert zu entfernen:

alter tag cost_center
    drop allowed_values 'engineering';

Um die Liste der zulässigen Zeichenfolgenwerte für ein bestimmtes Tag zu erhalten, rufen Sie entweder die Funktion GET_DDL oder die Funktion SYSTEM$GET_TAG_ALLOWED_VALUES auf. Angenommen, das Tag cost_center ist in einer Datenbank namens governance und einem Schema namens tags gespeichert:

select system$get_tag_allowed_values('governance.tags.cost_center');

+--------------------------------------------------------------+
| SYSTEM$GET_TAG_ALLOWED_VALUES('GOVERNANCE.TAGS.COST_CENTER') |
|--------------------------------------------------------------|
| ["finance","marketing"]                                      |
+--------------------------------------------------------------+

Objekt-Tagging und Maskierungsrichtlinien¶

Weitere Details dazu finden Sie unter Tag-basierte Maskierungsrichtlinien.

Beachten Sie, dass eine Maskierungsrichtlinie, die einer Spalte direkt zugewiesen ist, Vorrang vor einer Tag-basierten Maskierungsrichtlinie hat.

CREATE TABLE-Anweisungen¶

Mit CREATE TABLE … LIKE werden die der Quelltabelle zugewiesenen Tags der Zieltabelle zugewiesen.

Replikation¶

Tags und deren Zuweisungen können von einem Quellkonto in ein Zielkonto repliziert werden.

Tag-Zuweisungen können nach der ersten Replikation vom Quellkonto im Zielkonto nicht mehr geändert werden. So ist beispielsweise das Setzen eines Tags auf eine Sekundärdatenbank (d. h. eine replizierte Datenbank) nicht zulässig. Um Tag-Zuweisungen im Zielkonto zu ändern, ändern Sie diese im Quellkonto, und replizieren Sie sie dann in das Zielkonto.

Bei der Datenbankreplikation kann die Replikationsoperation fehlschlagen, wenn eine der folgenden Bedingungen erfüllt ist:

• Die Primärdatenbank befindet sich in einem Enterprise-Konto (oder höher) und enthält ein Tag, aber mindestens eines der zur Replikation genehmigten Konten befindet sich in einer niedrigeren Edition.

• Ein in der Primärdatenbank enthaltenes Objekt hat eine verwaiste Referenz auf ein Tag in einer anderen Datenbank.

Um Fehler durch verwaiste Referenzen zu vermeiden, replizieren Sie die Datenbank und die Objekte auf Kontoebene mit einer Replikations- oder Failover-Gruppe. Stellen Sie sicher, dass die Replikationsgruppe Folgendes enthält:

• Die Datenbank, die die Tags in der Eigenschaft ALLOWED_DATABASES enthält.

• Andere Objekte auf Kontoebene, die ein Tag in der Eigenschaft OBJECT_TYPES haben (z. B. ROLES, WAREHOUSES).

  Weitere Informationen dazu finden Sie unter CREATE REPLICATION GROUP und CREATE FAILOVER GROUP.

Klonen¶

• Tag-Zuordnungen im Quellobjekt (z. B. Tabelle) bleiben in den geklonten Objekten erhalten.

• Für eine Datenbank oder ein Schema:

  Die in dieser Datenbank oder diesem Schema gespeicherten Tags werden ebenfalls geklont.

  Wenn eine Datenbank oder ein Schema geklont wird, werden die Tags, die sich in diesem Schema oder dieser Datenbank befinden, ebenfalls geklont.

  Wenn eine Tabelle oder Ansicht im Quellschema bzw. in der Quelldatenbank vorhanden ist und Verweise auf Tags in demselben Schema oder derselben Datenbank hat, wird die geklonte Tabelle oder Ansicht dem entsprechenden geklonten Tag (im Zielschema bzw. in der Zieldatenbank) zugeordnet und nicht dem Tag im Quellschema bzw. der Quelldatenbank.

Data Sharing (Datenfreigabe)¶

• Wenn die freigegebene Ansicht und das freigegebene Tag in verschiedenen Datenbanken vorhanden sind, erteilen Sie der Freigabe die REFERENCE_USAGE-Berechtigung für die Datenbank, die das Tag enthält. Weitere Details dazu finden Sie unter Freigeben von Daten aus mehreren Datenbanken.

• Für das Data Sharing-Verbraucherkonto gilt Folgendes:

  • Bei Ausführung von SHOW TAGS wird das freigegebene Tag zurückgegeben, vorausgesetzt, die Rolle, die den Befehl SHOW TAGS ausführt, verfügt über die USAGE-Berechtigung für das Schema, das das freigegebene Tag enthält.

  • Wenn ein Tag des Data Sharing-Anbieterkontos einer freigegebenen Tabelle zugewiesen ist, kann der Data Sharing-Verbraucher die Funktion SYSTEM$GET_TAG oder die Information Schema-Funktion TAG_REFERENCES aufrufen, um die Tag-Zuweisung anzuzeigen.

Schritt 1: Kundenspezifische Rolle definieren und Berechtigungen zuweisen¶

In einem zentralen Verwaltungsansatz ist die kundenspezifische Rolle tag_admin für die Erstellung und Zuweisung von Tags zu Snowflake-Objekten zuständig.

Beachten Sie, dass in diesem Beispiel die Systemrolle ACCOUNTADMIN verwendet wird. Wenn die Verwendung dieser Rolle mit deren höheren Berechtigungen in einer Produktionsumgebung nicht erwünscht ist, überprüfen Sie, ob die Rolle, die der kundenspezifischen Rolle tag_admin Berechtigungen zuweist, über die notwendigen Berechtigungen verfügt, um die kundenspezifische Rolle tag_admin zu qualifizieren. Weitere Informationen dazu finden Sie unter Verwalten von Tags (unter diesem Thema).

use role useradmin;
create role tag_admin;
use role accountadmin;
grant create tag on schema <schema_name> to role tag_admin;
grant apply tag on account to role tag_admin;

Schritt 2: Kundenspezifische Rolle TAG_ADMIN einem Benutzer zuweisen¶

Weisen Sie einem Benutzer, der als Tag-Administrator fungiert, die kundenspezifische Rolle TAG_ADMIN zu.

use role useradmin;
grant role tag_admin to user jsmith;

Schritt 3: Tag erstellen¶

Führen Sie eine CREATE TAG-Anweisung aus, um ein Tag zu erstellen.

use role tag_admin;
use schema my_db.my_schema;
create tag cost_center;

Schritt 4: Tag einem Snowflake-Objekt zuweisen¶

Verwenden Sie für das Zuweisen eines Tags zu einem neuen Snowflake-Objekt die CREATE <Objekt>-Anweisung.

Um beispielsweise ein Tag einem neuen Warehouse zuzuweisen, verwenden Sie den Befehl CREATE WAREHOUSE.

use role tag_admin;
create warehouse mywarehouse with tag (cost_center = 'sales');

Verwenden Sie für das Zuweisen eines Tags zu einem vorhandenen Snowflake-Objekt die ALTER <Objekt>-Anweisung.

Um beispielsweise ein Tag einem vorhandenen Warehouse zuzuordnen, verwenden Sie den Befehl ALTER WAREHOUSE.

use role tag_admin;
alter warehouse wh1 set tag cost_center = 'sales';

Um ein Tag einer vorhandenen Spalte zuzuordnen oder zu entziehen, verwenden Sie bei einer Tabellenspalte den Befehl ALTER TABLE … MODIFY COLUMN und bei einer Ansichtsspalte den Befehl ALTER VIEW … MODIFY COLUMN. Beachten Sie, dass mit einer einzelnen Anweisung auch mehrere Tags zugeordnet oder entzogen werden können.

-- For a table or external table column

alter table <table_name> modify column <column_name> set tag <tag_name> = '<tag_value>' [ , <tag_name> = '<tag_value>' , ... ];
alter table <table_name> modify column <column_name> unset tag <tag_name> [ , <tag_name> , ... ];

-- For a view or materialized view column

alter view <view_name> modify column <column_name> set tag <tag_name> = '<tag_value>' [ , <tag_name> = '<tag_value>' , ... ];
alter view <view_name> modify column <column_name> unset tag <tag_name> [ , <tag_name> , ... ];

Schritt 5: Tags verfolgen¶

Sie können die Tag-Nutzung über zwei verschiedene Account Usage-Ansichten, eine Information Schema-Tabellenfunktion, eine Account Usage-Tabellenfunktion und eine Systemfunktion verfolgen.

Es kann hilfreich sein, sich zwei allgemeine Ansätze vorzustellen, um zu bestimmen, wie die Tag-Nutzung verfolgt werden soll:

• Tags ermitteln oder auflisten

• Zuweisungen (d. h. Referenzen) zwischen Tag und Objekt identifizieren

Tags ermitteln

Snowflake unterstützt die folgenden Optionen, um Tags aufzulisten und den Tag-Zeichenfolgenwert eines bestimmten Tag-Schlüssels zu identifizieren.

• Identifizieren von Tags in Ihrem Konto:

  Verwenden Sie die Ansicht TAGS im Account Usage-Schema der freigegebenen SNOWFLAKE-Datenbank. Diese Ansicht fungiert wie ein Katalog für alle Tags in Ihrem Snowflake-Konto, der Informationen über aktuelle und gelöschte Tags enthält. Beispiel:

  select * from snowflake.account_usage.tags
  order by tag_name;
  

• Identifizieren des Werts eines bestimmten Tags:

  Verwenden Sie die Systemfunktion SYSTEM$GET_TAG, um den Tag-Wert, der dem angegebenen Tag zugewiesen ist, sowie das Snowflake-Objekt oder die Spalte zurückzugeben.

  select system$get_tag('cost_center', 'my_table', 'table');
  

Zuweisungen identifizieren

Snowflake unterstützt verschiedene Optionen zur Identifizierung von Tag-Zuweisungen, je nachdem, ob die Abfrage auf das Konto oder eine bestimmte Datenbank abzielen soll und ob eine Tag-Herkunft benötigt wird.

• Abfrage auf Kontoebene mit Herkunft:

  Verwenden Sie die Account Usage-Tabellenfunktion TAG_REFERENCES_WITH_LINEAGE, um alle Objekte zu ermitteln, die einen bestimmten Tag-Schlüssel und Tag-Wert haben, der auch die Tag-Herkunft enthält:

  select *
  from table(snowflake.account_usage.tag_references_with_lineage('my_db.my_schema.cost_center'));
  

• Abfrage auf Kontoebene ohne Herkunft:

  Verwenden Sie die Account Usage-Ansicht TAG_REFERENCES, um alle Objekte zu ermitteln, die einen bestimmten Tag-Schlüssel und Tag-Wert haben, aber nicht die Tag-Herkunft enthalten:

  select * from snowflake.account_usage.tag_references
  order by tag_name, domain, object_id;
  

• Abfrage auf Datenbankebene mit Herkunft:

  Jede Snowflake-Datenbank enthält ein Snowflake Information Schema. Verwenden Sie die Information Schema-Tabellenfunktion TAG_REFERENCES, um alle Objekte zu ermitteln, die ein bestimmtes Tag haben, das auch die Tag-Herkunft in einer bestimmten Datenbank enthält:

  select *
  from table(my_db.information_schema.tag_references('my_table', 'table'));
  

• Abfrage auf Datenbankebene nach allen Tags für jede Spalte in einer Tabelle oder Ansicht mit Herkunft:

  Verwenden Sie die Information Schema-Tabellenfunktion TAG_REFERENCES_ALL_COLUMNS, um alle Tags zu erhalten, die auf jeder Spalte einer gegebenen Tabelle oder Ansicht festgelegt sind:

  Beachten Sie, dass die Domäne TABLE für alle Objekte verwendet werden muss, die Spalten enthalten, auch wenn der Objektname eine Ansicht ist (d. h. Ansicht, materialisierte Ansicht).

  select *
  from table(information_schema.tag_references_all_columns('my_table', 'table'));
  

Tag-Berechtigungen¶

Snowflake unterstützt die folgenden Berechtigungen, um zu bestimmen, ob Benutzer Tags erstellen, festlegen und besitzen können.

Beachten Sie, dass für die Bearbeitung eines Objekts in einem Schema auch die Berechtigung USAGE für die übergeordnete Datenbank und das Schema erforderlich ist.

Tag-DDL-Referenz¶

Snowflake unterstützt die folgenden DDL-Befehle zum Erstellen und Verwalten von Tags:

• CREATE TAG

• ALTER TAG

• ALTER <Objekt> (um ein Tag einem Snowflake-Objekt zuzuordnen)

• SHOW TAGS

• DROP TAG

• UNDROP TAG

Beachten Sie, dass Snowflake die describe-Operation bei Tag-Objekten nicht unterstützt.

Übersicht der DDL-Befehle, Operationen und Berechtigungen¶

Die folgende Tabelle fasst die Beziehung zwischen Tag-Berechtigungen und DDL-Operationen zusammen.

Snowflake unterstützt verschiedene Berechtigungen zum Erstellen und Festlegen eines Tags für ein Objekt.

1. Bei einem zentralen Ansatz für die Tag-Verwaltung, bei dem die kundenspezifische Rolle tag_admin Tags für alle Objekte/Spalten erstellt und festlegt, sind die folgenden Berechtigungen erforderlich:

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply tag on account to role tag_admin;
   

2. In einem hybriden Verwaltungsansatz verfügt eine einzelne Rolle über die CREATE TAG-Berechtigung, um die konsistente Benennung der Tags sicherzustellen, und einzelne Teams oder Rollen verfügen über die APPLY-Berechtigung für ein bestimmtes Tag.

   So kann beispielsweise der kundenspezifischen Rolle finance_role die Berechtigung erteilt werden, das Tag cost_center für Tabellen und Ansichten festzulegen, deren Eigentümer die Rolle ist (d. h. die Rolle hat die OWNERSHIP-Berechtigung für die Tabelle oder Ansicht):

   use role securityadmin;
   grant create tag on schema <db_name.schema_name> to role tag_admin;
   grant apply on tag cost_center to role finance_role;